CVE-2026-97038

اسم البرنامج المصاب والإصدارات المتأثرة Go (إصدارات متأثرة غير محددة)

الوصف يمكن أن يؤدي بناء حزمة خبيثة تحتوي على ملفات .syso أو مدخلات رابط cgo إلى حقن أعلام رابط (linker flags) تعسفية أو تنفيذ رمز برمجي تعسفي أثناء وقت الربط. يحدث هذا لأن ملفات مدخلات الرابط—بما في ذلك ملفات .syso ومدخلات الكائنات أو المكتبات المباشرة في #cgo LDFLAGS والمكتبات في أدلة -L—كان يتم تمريرها إلى الرابط الخارجي دون التحقق من تنسيقها أو فحص خيارات الرابط المدمجة. سمح هذا عبر المنصات المختلفة بتنفيذ سكربتات رابط GNU ld الضمنية المتنكرة في شكل مكتبات أو ملفات .syso أو تحميلها عبر -l:<filename> أو -l التي تحتوي على فاصل مسارات، أو حقن أعلام رابط غير مسموح بها عبر أقسام .drectve في PE/COFF على نظام Windows أو أوامر تحميل LC LINKER OPTION في Mach-O على نظام Darwin، أو استدعاء إضافات LTO (تحسين وقت الربط) عبر أقسام التمثيل الوسيط LTO الخاصة بـ GCC أو LLVM في كائنات ELF أو PE/COFF أو Mach-O.

التوصيات في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.